ولې د VPN کلاینټ شاته سرور د تونل له لارې ځواب ورکوي

هغه هوسټ ته ننوتونکې اړیکې چې VPN کلاینټ هم چلوي، په ډېر ځانګړي ډول ناکامېږي: لاس ورکول راځي، ډیمون ځواب ورکوي، او کلاینټ هېڅ بیرته نه ترلاسه کوي۔ پورټ ته هېڅ نه بندوي۔ ځواب د تونل له لارې ووت، ځکه تونل ډیفالټ لاره لري او کرنل ځوابونه د منزل له مخې رټ کوي، نه د دې له مخې چې غوښتنه له کومه ځایه راغله۔ همدا یوه پریښودنه هر راتلونکی نښه تشریح کوي۔

ځواب رټ کېږي، نه یادېږي

هغه VPN کلاینټ چې ډیفالټ لاره نصبوي، یوه ننوتنه ورزیاتوي چې د LAN ګېټوې څخه تېره شي، یا د متریک له مخې یا د تشې په دوو ډېرو مشخصو نیمو ویشلو سره۔ وتونکي پاکټونه اوس د تونل انټرفېس غوره کوي۔ کرنل هېڅکله نه پوښتي چې هغه پاکټ چې ځواب ورکول کېږي په اصل کې له کومه ځایه راغی۔ همدا یوه پریښودنه هر راتلونکی نښه تشریح کوي۔

د مخې لوری د منزل له مخې رټ کېږي، او د شا لوری هم۔ ځواب یو عامه کلاینټ ته خطاب دی، چې تونل به یې په خوښۍ وړي۔ لرې سر داسې پاکټ ترلاسه کوي چې سرچینه یې نه لري، هغه غورځوي، او اصلي کلاینټ تر هغه انتظار کوي چې وخت پای ته ورسېږي۔

کلکه د شا لارې فلټرېدنه کولای شي ننوتونکی پاکټ له دې مخکې وغورځوي چې ډیمون یې ولولي۔ لومړی هغه شمېرونکی وګورئ، ځکه د فلټر غورځېدنه او د رټینګ تېروتنه له بهر څخه یو شان ښکاري۔

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

لومړی کمانډ ښیي چې اوس کوم ډیفالټ ګټي۔ دویم راپور ورکوي چې کلکه فلټرېدنه نړیواله ده که د هر انټرفېس لپاره، او درېیم د فارورډ زنځیر کومه قاعده ښیي چې ښایي ښکېله وي۔

د بیرته راستنیدو لارې ساتلو درې لارې

د خدمت منزل د تونل څخه بهر ساتل تر ټولو تنګ انتخاب دی۔ د LAN ګېټوې ته اشاره کوونکې هوسټ لاره، له دې سره د هر پتې پر ځای فزیکي پتې ته تړل شوی ډیمون، هغه یوه بهیر د تونل څخه بهر ساتي۔ بدلون سیمه ایز دی او بیرته اړول یې اسانه دي۔

د پالیسۍ رټینګ عمومي ځواب دی۔ هغه قاعده چې د سرچینې پتې یا د فایر وال نښې پر بنسټ ده، هغه جدول غوره کوي چې ډیفالټ یې WAN ګېټوې ته اشاره کوي، په داسې حال کې چې د هوسټ خپلې اړیکې تونل کاروي۔ لومړیتوب روښانه وساتئ تر څو قاعده وروسته سیوري نه شي۔

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

لومړي دوه کمانډونه د عامه پتې څخه راغلو ځوابونو لپاره بدیله لاره جوړوي۔ درېیم له کرنل څخه پوښتي چې هماغه سرچینه او منزل کومه لاره نیسي، او په دې توګه تاییدوئ چې قاعده څه اغېزه لري۔

د سرچینې ژباړه درېیم انتخاب دی او یوازینی دی چې د خدمت مخې ته د NAT کوونکي رټر په وړاندې پاتې کېږي۔ ځواب باید هماغه رټر ته بیرته ستانه شي، او WAN انټرفېس ته ماسک کول دا ترلاسه کوي او کلاینټ د خدمت لاګونو څخه پټوي۔ له نښلېدو وروسته ډیفالټ لاره په لاس بدلول یو تشخیص دی، ځکه کلاینټ په بل ځل نښلېدو کې جدول بیا لیکي۔

کله چې بکس د LAN لپاره هم رټ کوي

هماغه ناکامي یوه خوګه نوره لرې ښکاري کله چې هوسټ د خپلو شاته وسایلو لپاره رټ کوي۔ ننوتونکې اړیکه یوې داخلي وسیلې ته لېږل کېږي چې یوازینې د بیرته راستنیدو لاره یې تونل دی، او ځواب د برابرونکي له پتې بهرني کلاینټ ته رسېږي۔ داخلي وسیله په ټول وخت سمه کار کوي۔

بیا د اړیکو تعقیب د هغه بهیر ځواب ویني چې هېڅکله یې نه دی ثبت کړی او هغه غورځوي۔ د منزل ژباړه ننوتونکې اړیکه وسیلې ته رسوي، او د سرچینې ژباړه ځواب داسې ښیي لکه له خود رټر څخه راغلی وي۔

هغه پالیسي لاره چې لېږل شوی پورټ په WAN کې ساتي او د رټر خپل ترافیک تونل کاروي، ډېره پاکه سیالي ده۔ د سرچینې ژباړې پرته ځواب بهرني کلاینټ ته خطاب دی، او داخلي وسیله دې پتې ته هېڅ لاره نه لري۔

د لاملونو جلا کوونکې درې څېړنې

درې څېړنې وکړئ: له انټرنېټ څخه بکس ته اړیکه، له هغه څخه عامه هوسټ ته اړیکه، او د نوم پلټنه۔ کله چې لومړي دوه سره نه جوړ شي، د بیرته راستنیدو لاره ګناهکاره ده۔ کله چې نومونه دواړو خواوو ته ناکام شي، حل کوونکی بله خرابي ده چې یوازې تونل شریکوي۔

لومړی د رټینګ پوښتنه سمه کړئ، بیا نومونه وګورئ۔ دواړه ګډول هماغه لار ده چې کار کوونکی سرور د مات شوي حل کوونکي له امله ملامت شي۔

ولیږئ چې استثنا کوم انټرفېس نوموي او ترتیب د نسخې کنټرول لاندې وساتئ۔ هغه قاعده چې د هغه انټرفېس پر ضد لیکل شوې چې له تازه کولو وروسته نوم بدلېږي، نن بریالۍ ده او د بل ریبوټ وروسته ناکامېږي۔